Privacy dei dati di Amazon
Politica sulla protezione dei dati
La Politica sulla protezione dei dati ("DPP") regola la ricezione, l'archiviazione, l'utilizzo, il trasferimento e l'eliminazione delle Informazioni, compresi i dati venduti e recuperati tramite l'API dei Servizi Amazon (inclusa l'API del Servizio Web del Marketplace). Questa politica è applicabile a tutti i sistemi che archiviano, elaborano o gestiscono in altro modo i dati venduti e recuperati dall'API dei servizi Amazon. La presente Politica integra la Contratto per gli sviluppatori dell'API dei servizi Amazon e il Politica di utilizzo accettabile. Il mancato rispetto del presente DPP può comportare la sospensione o la cessazione dell'accesso all'API dei Servizi Amazon in conformità con il Contratto per gli sviluppatori dell'API dei Servizi Amazon.
1. Requisiti generali di sicurezza
Coerentemente con la sicurezza leader del settore, gli Sviluppatori manterranno protezioni fisiche, amministrative e tecniche e altre misure di sicurezza (i) per mantenere la sicurezza e la riservatezza delle informazioni a cui ha accesso, raccolte, utilizzate, archiviate o trasmesse da uno Sviluppatore e (ii) per proteggere tali informazioni da minacce o rischi noti o ragionevolmente previsti per la sua sicurezza e integrità, perdita accidentale, alterazione, divulgazione e tutte le altre forme di trattamento illecite. Senza limitazione, lo Sviluppatore rispetterà i seguenti requisiti:
1.1 Protezione della rete. Gli sviluppatori devono implementare controlli di protezione della rete, inclusi firewall di rete ed elenchi di controllo dell'accesso alla rete per negare l'accesso a indirizzi IP non autorizzati. Gli sviluppatori devono implementare periodicamente (almeno una volta al mese) la segmentazione della rete, meccanismi di rilevamento e prevenzione delle intrusioni (compresi metodi di difesa approfonditi per integrare le regole del firewall e l'utilizzo di meccanismi basati su modelli di firma IDS e/o IPS per identificare e prevenire comportamenti dannosi che transitano nella rete) e strumenti antivirus e antimalware. Gli sviluppatori devono limitare l'accesso ai sistemi solo ai dipendenti interni approvati che hanno responsabilità di codifica e sviluppo e che hanno precedentemente completato corsi di formazione sulla protezione dei dati e sulla sensibilizzazione alla sicurezza IT ("Utenti approvati"). Gli sviluppatori devono mantenere pratiche di codifica sicure e condurre corsi di formazione sulla protezione dei dati e sulla sensibilizzazione alla sicurezza IT per gli utenti approvati almeno su base annuale.
1.2 Gestione degli accessi. Gli sviluppatori devono stabilire un processo formale di registrazione dell'accesso degli utenti per assegnare i diritti di accesso per tutti i tipi di utenti e servizi garantendo che venga assegnato un ID univoco a ciascuna persona con accesso computerizzato alle Informazioni. Gli sviluppatori non devono creare o utilizzare credenziali di accesso o account utente generici, condivisi o predefiniti e impedire la condivisione degli account utente. Gli sviluppatori devono implementare meccanismi di base per garantire che in ogni momento solo gli account utente richiesti accedano alle informazioni. Gli sviluppatori devono impedire a dipendenti e appaltatori di archiviare informazioni su dispositivi personali. Gli sviluppatori manterranno e applicheranno il "blocco degli account" rilevando modelli di utilizzo e tentativi di accesso anomali e disabilitando gli account con accesso alle informazioni. Gli sviluppatori devono rivedere l'elenco delle persone e dei servizi con accesso alle informazioni almeno trimestralmente. Gli sviluppatori devono garantire che l'accesso venga disabilitato e/o rimosso entro 24 ore per i dipendenti licenziati.
1.3 Principio del privilegio minimo. Gli sviluppatori devono implementare meccanismi di controllo degli accessi capillari per consentire la concessione dei diritti a qualsiasi parte che utilizza l'Applicazione e agli operatori autorizzati dell'Applicazione seguendo il principio del privilegio minimo. L'accesso alle informazioni deve essere concesso in base alla "necessità di sapere".
1.4 Gestione delle credenziali. Gli sviluppatori devono stabilire requisiti minimi di password per il personale e i sistemi con accesso alle informazioni. I requisiti della password devono contenere almeno dodici (12) caratteri, non includere alcuna parte del nome dell'utente, una combinazione di lettere maiuscole, lettere minuscole, numeri e caratteri speciali, inclusi i requisiti minimi per ciascuno. Gli sviluppatori devono stabilire un'età minima per la password di 1 giorno e una scadenza massima di 365 giorni per tutti gli utenti. Gli sviluppatori devono garantire che sia richiesta l'autenticazione a più fattori (MFA) per tutti gli account utente. Gli sviluppatori devono garantire che le chiavi API fornite da Amazon siano crittografate e che solo i dipendenti richiesti possano accedervi.
1.5 Crittografia in transito. Gli sviluppatori devono crittografare tutte le informazioni in transito con protocolli sicuri come TLS 1.2+, SFTP e SSH-2. Gli sviluppatori devono applicare questo controllo di sicurezza su tutti gli endpoint interni ed esterni applicabili. Gli sviluppatori devono utilizzare la crittografia a livello di messaggio di dati in cui la crittografia del canale (ad esempio, utilizzando TLS) termina in hardware multi-tenant non affidabile (ad esempio, proxy non attendibili).
1.6 Gestione del rischio e piano di risposta agli incidenti. Gli Sviluppatori devono disporre di un processo di valutazione e gestione del rischio che viene rivisto annualmente dal senior management dello Sviluppatore, che include, ma non è limitato a, la valutazione delle potenziali minacce e vulnerabilità, nonché la probabilità e l'impatto al fine di tenere traccia dei rischi noti. Gli sviluppatori devono creare e mantenere un piano e/o un runbook per rilevare e gestire gli incidenti di sicurezza. Tali piani devono identificare i ruoli e le responsabilità di risposta agli incidenti, definire i tipi di incidenti che potrebbero interessare Amazon, definire le procedure di risposta agli incidenti per i tipi di incidenti definiti e definire un percorso di escalation e procedure per inoltrare gli incidenti di sicurezza ad Amazon. Gli sviluppatori devono rivedere e verificare il piano ogni sei (6) mesi e dopo qualsiasi modifica importante all'infrastruttura o al sistema, comprese modifiche al sistema, ai controlli, agli ambienti operativi, ai livelli di rischio e alla catena di fornitura. Gli sviluppatori devono avvisare Amazon (via e-mail a security@amazon.com) entro 24 ore dal rilevamento di un incidente di sicurezza. È responsabilità esclusiva dello Sviluppatore informare le agenzie governative o di regolamentazione competenti come richiesto dalle leggi locali applicabili. Gli sviluppatori devono indagare su ogni incidente di sicurezza e documentare la descrizione dell'incidente, le azioni correttive e i controlli di sistema/processo correttivo associati implementati per prevenire il ripetersi futuro. Gli sviluppatori devono mantenere la catena di custodia per tutte le prove o i documenti raccolti e tale documentazione deve essere resa disponibile ad Amazon su richiesta (se applicabile). Se si è verificato un incidente di sicurezza, gli sviluppatori non possono rappresentare o parlare per conto di Amazon presso alcuna autorità di regolamentazione o clienti, a meno che Amazon non richieda espressamente per iscritto allo sviluppatore di farlo.
1.7 Richiesta di cancellazione. Gli sviluppatori devono eliminare le informazioni in modo permanente e sicuro in conformità con l'avviso di Amazon che richiede l'eliminazione entro 30 giorni dalle richieste di Amazon, a meno che i dati non siano necessari per soddisfare requisiti legali, inclusi requisiti fiscali o normativi. L'eliminazione sicura deve avvenire in conformità con i processi di sanificazione standard del settore come NIST 800-88. Gli sviluppatori devono inoltre eliminare in modo permanente e sicuro tutte le istanze di informazioni attive (online o accessibili tramite rete) 90 giorni dopo la notifica di Amazon. Se richiesto da Amazon, lo Sviluppatore certificherà per iscritto che tutte le informazioni sono state distrutte in modo sicuro.
1.8 Attribuzione dei dati. Gli sviluppatori devono archiviare le informazioni in un database separato o implementare un meccanismo per contrassegnare e identificare l'origine di tutti i dati in qualsiasi database che contenga informazioni.
2. Requisiti di sicurezza aggiuntivi specifici per le informazioni di identificazione personale
I seguenti requisiti di sicurezza aggiuntivi devono essere soddisfatti per le informazioni di identificazione personale ("PII"). Le PII vengono concesse agli sviluppatori per determinati scopi fiscali e di spedizione a carico del commerciante, su base obbligatoria. Se un'API di Amazon Services contiene PII o le PII sono combinate con non PII, l'intero datastore deve soddisfare i seguenti requisiti:
2.1 Conservazione dei dati. Gli sviluppatori conserveranno le informazioni personali per non più di 30 giorni dalla consegna dell'ordine e solo allo scopo e per il tempo necessario a (i) evadere gli ordini, (ii) calcolare e versare le imposte, (iii) produrre fatture fiscali e altri documenti richiesti dalla legge e (iv) soddisfare i requisiti legali, inclusi requisiti fiscali o normativi. Gli sviluppatori possono conservare i dati per oltre 30 giorni dopo la consegna dell'ordine solo se richiesto dalla legge e solo allo scopo di conformarsi a tale legge. Secondo le sezioni 1.5 (“Crittografia in transito”) e 2.4 (“Crittografia a riposo”) in nessun momento le PII devono essere trasmesse o archiviate senza protezione.
2.2 Governance dei dati. Gli sviluppatori devono creare, documentare e rispettare una politica sulla privacy e sulla gestione dei dati e sulla classificazione delle proprie Applicazioni o servizi, che regolano la condotta appropriata e i controlli tecnici da applicare nella gestione e protezione delle risorse informative. È necessario conservare un registro delle attività di elaborazione dei dati, ad esempio campi dati specifici e del modo in cui vengono raccolti, elaborati, archiviati, utilizzati, condivisi ed eliminati per tutte le PII per stabilire la responsabilità e la conformità alle normative. Gli sviluppatori devono stabilire un processo per rilevare e rispettare le leggi sulla privacy e sulla sicurezza e i requisiti normativi applicabili alla loro attività e conservare prove documentate della loro conformità. Gli sviluppatori devono stabilire e rispettare la propria politica sulla privacy per il consenso del cliente e i diritti sui dati per accedere, rettificare, cancellare o interrompere la condivisione/elaborazione delle proprie informazioni ove applicabile o richiesto dalla normativa sulla privacy dei dati. Gli sviluppatori devono disporre di processi e sistemi tecnici e organizzativi per assistere gli Utenti autorizzati con le richieste di accesso degli interessati. Gli sviluppatori devono includere disposizioni contrattuali nei contratti di lavoro con i dipendenti che elaborano le PII per mantenerne la riservatezza.
2.3 Gestione patrimoniale. Gli sviluppatori devono mantenere la configurazione standard di base per i sistemi informativi e installare patch, aggiornamenti, correzioni di difetti e upgrade su base regolare. Gli sviluppatori devono mantenere e aggiornare trimestralmente un inventario accurato del software e delle risorse fisiche (ad esempio computer, dispositivi mobili) con accesso alle PII, che dovrebbe includere tutti i dispositivi nell'ambiente dello sviluppatore insieme allo stato di manutenzione di ciascun dispositivo per garantire la conformità rispetto alla linea di base. Gli sviluppatori devono mantenere un processo di gestione delle modifiche per tutti i sistemi informativi, in modo tale che il software e l'hardware con accesso alle PII siano testati, verificati e approvati, con una separazione dei compiti tra gli approvatori delle modifiche e coloro che testano le modifiche prima dell'implementazione. Le risorse fisiche che archiviano, elaborano o gestiscono in altro modo le informazioni personali devono rispettare tutti i requisiti stabiliti nella presente politica. Gli sviluppatori non devono archiviare le informazioni personali su supporti rimovibili, dispositivi personali o applicazioni cloud pubbliche non protette (ad esempio, collegamenti pubblici resi disponibili tramite Google Drive) a meno che non siano crittografate utilizzando chiavi bit almeno AES-128 o RSA-2048 o superiori. Gli sviluppatori devono smaltire in modo sicuro tutti i documenti stampati contenenti informazioni personali. Gli sviluppatori devono implementare controlli di prevenzione della perdita di dati (DLP) per monitorare e rilevare movimenti non autorizzati di dati.
2.4 Crittografia a riposo. Gli sviluppatori devono crittografare tutte le PII inattive utilizzando almeno AES-128 o RSA con dimensioni della chiave di 2048 bit o superiori. I materiali crittografici (ad esempio, chiavi di crittografia/decrittografia) e le funzionalità crittografiche (ad esempio, demoni che implementano moduli di piattaforma attendibile virtuale e forniscono API di crittografia/decrittografia) utilizzati per la crittografia delle PII inattive devono essere accessibili solo ai processi e ai servizi dello Sviluppatore.
2.5 Pratiche di codifica sicura. Gli sviluppatori non devono codificare credenziali sensibili nel proprio codice, incluse chiavi di crittografia, chiavi di accesso segrete o password. Le credenziali sensibili non devono essere esposte nei repository di codice pubblico. Gli sviluppatori devono mantenere ambienti di test e di produzione separati.
2.6 Registrazione e monitoraggio. Gli sviluppatori devono raccogliere registri per rilevare eventi relativi alla sicurezza delle proprie applicazioni e sistemi, incluso il successo o il fallimento dell'evento, la data e l'ora, i tentativi di accesso, le modifiche ai dati e gli errori di sistema. Gli sviluppatori devono implementare questo meccanismo di registrazione su tutti i canali (ad esempio, API di servizio, API a livello di archiviazione, dashboard amministrativi) che forniscono l'accesso alle informazioni. Gli sviluppatori devono esaminare i log in tempo reale (ad esempio con lo strumento SIEM) o su base bisettimanale. Tutti i registri devono disporre di controlli di accesso per impedire qualsiasi accesso non autorizzato e manomissione durante tutto il loro ciclo di vita. I registri non devono contenere PII a meno che le PII non siano necessarie per soddisfare requisiti legali, inclusi requisiti fiscali o normativi. Salvo diversamente richiesto dalla legge applicabile, i registri devono essere conservati per almeno 90 giorni come riferimento in caso di incidente di sicurezza. Gli sviluppatori devono creare meccanismi per monitorare i registri e tutte le attività di sistema per attivare allarmi investigativi su azioni sospette (ad esempio, chiamate multiple non autorizzate, tasso di richieste impreviste e volume di recupero dati e accesso ai record di dati Canary). Gli sviluppatori devono implementare allarmi e processi di monitoraggio per rilevare se le informazioni vengono estratte o possono essere trovate oltre i confini protetti. Gli sviluppatori dovrebbero eseguire un'indagine quando vengono attivati gli allarmi di monitoraggio e ciò dovrebbe essere documentato nel piano di risposta agli incidenti dello sviluppatore.
2.7 Gestione delle vulnerabilità. Gli sviluppatori devono creare e mantenere un piano e/o un runbook per rilevare e correggere le vulnerabilità. Gli sviluppatori devono proteggere l'hardware fisico contenente le PII dalle vulnerabilità tecniche eseguendo scansioni delle vulnerabilità e risolvendo adeguatamente. Gli sviluppatori devono condurre la scansione delle vulnerabilità almeno ogni 180 giorni, i test di penetrazione almeno ogni 365 giorni e la scansione del codice per individuare eventuali vulnerabilità prima di ogni rilascio. Gli sviluppatori devono disporre di procedure e piani adeguati per ripristinare tempestivamente la disponibilità e l'accesso alle PII in caso di incidente fisico o tecnico.
3. Audit e valutazione
Gli sviluppatori devono conservare tutti i libri e i registri appropriati ragionevolmente necessari per verificare la conformità alla Politica di utilizzo accettabile, al presente DPP e al Contratto per gli sviluppatori dell'API di Amazon Services durante il periodo del presente contratto e per i 12 mesi successivi. Su richiesta scritta di Amazon, gli sviluppatori devono certificare per iscritto ad Amazon di rispettare queste politiche.
Su ragionevole richiesta, Amazon può, o può far sì che una società di contabilità pubblica certificata indipendente selezionata da Amazon, verifichi, valuti e ispezioni i libri contabili, i registri, le strutture, le operazioni e la sicurezza di tutti i sistemi coinvolti con l'Applicazione di uno Sviluppatore nel recupero, archiviazione o elaborazione delle Informazioni. Amazon manterrà riservate tutte le informazioni non pubbliche divulgate da uno Sviluppatore nell'ambito di questo audit, valutazione o ispezione designate come riservate o che, data la natura delle informazioni o le circostanze relative alla loro divulgazione, dovrebbero ragionevolmente essere considerate riservate. Gli Sviluppatori devono collaborare con Amazon o con il revisore di Amazon in relazione all'audit o alla valutazione, che può avvenire presso le strutture dello Sviluppatore e/o le strutture del subappaltatore. Se la verifica o la valutazione rivela carenze, violazioni e/o mancato rispetto dei nostri termini, condizioni o politiche, lo Sviluppatore deve, a suo esclusivo costo e spesa, intraprendere tutte le azioni ragionevolmente necessarie per porre rimedio a tali carenze entro un periodo di tempo concordato. Su richiesta, lo Sviluppatore deve fornire prove di riparazione nella forma richiesta da Amazon (che può includere policy, documenti, screenshot o condivisione di schermate di modifiche all'applicazione o all'infrastruttura) e ottenere l'approvazione scritta delle prove presentate da Amazon prima della chiusura dell'audit.
4. Definizioni
"API dei servizi Amazon" indica qualsiasi interfaccia di programmazione dell'applicazione (API) offerta da Amazon allo scopo di aiutare gli Utenti Autorizzati Amazon a scambiare dati in modo programmatico.
"Materiali API" indica i Materiali che rendiamo disponibili in relazione all'API dei Servizi Amazon, tra cui API, documentazione, specifiche, librerie software, kit di sviluppo software e altri materiali di supporto, indipendentemente dal formato.
"Applicazione" indica un'applicazione software o un sito Web che si interfaccia con l'API dei servizi Amazon o i materiali API.
"Utente Autorizzato" indica un utente dei sistemi o dei servizi di Amazon che è stato specificamente autorizzato da Amazon a utilizzare i sistemi o i servizi applicabili.
“Contenuto” indica opere protette da copyright ai sensi della legge applicabile e contenuti protetti dalla legge applicabile.
"Cliente" indica qualsiasi persona o entità che ha acquistato articoli o servizi dai siti Web pubblici di Amazon.
"Sviluppatore" indica qualsiasi persona o entità (incluso te, se applicabile) che utilizza l'API dei Servizi Amazon o i Materiali API per un Uso Consentito per conto di un Utente Autorizzato.
"Informazioni" indica qualsiasi informazione esposta tramite l'API dei servizi Amazon, i portali Amazon o i siti Web pubblici di Amazon. Questi dati possono essere pubblici o non pubblici, comprese le informazioni di identificazione personale sui clienti Amazon.
“Materiali” indica software, dati, testo, audio, video, immagini o altri Contenuti.
"Informazioni di identificazione personale" ("PII") indica informazioni che possono essere utilizzate da sole o insieme ad altre informazioni per identificare, contattare, identificare nel contesto o individuare un Cliente Amazon o un Utente Autorizzato. Ciò include, a titolo esemplificativo, nome, indirizzo, indirizzo e-mail, numero di telefono, contenuto del messaggio regalo, risposte al sondaggio, dettagli di pagamento, acquisti, cookie, impronta digitale (ad esempio browser, dispositivo utente), indirizzo IP, posizione geografica, codice postale o identificatore del prodotto del dispositivo connesso a Internet del cliente o dell'utente autorizzato.
"Incidente di sicurezza" indica qualsiasi accesso, raccolta, acquisizione, utilizzo, trasmissione, divulgazione, corruzione o perdita di informazioni, effettivo o sospetto, non autorizzato o violazione di qualsiasi ambiente contenente informazioni.